AI-00116-2025

1/8  Expediente N.º: EXP202412694 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 2 de septiembre de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra SERVICIOS ESPECIALES, S.A. con NIF A11001450 (en adelante, la parte reclamada o SERVISA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, trabajadora en la empresa reclamada (SERVISA), indica que esta es empresa filial de ***EMPRESA.1, y que cuenta con propio DPD, independiente del de ***EMPRESA.1. La parte reclamante informó a la empresa reclamada de varios hechos (…). La parte reclamante manifiesta que envió a la dirección electrónica señalada la denuncia y recibió respuesta, con pie de firma de ***EMPRESA.1, por la que se le informaba que (…) (en el correo le confirman la admisión a trámite de la denuncia y la suspensión cautelar por estar sometidos los hechos a arbitrio judicial). La parte reclamante manifiesta que en su denuncia desveló (…) y que tenía que haber sido informada que el departamento central de cumplimiento está accediendo a la denuncia. Además, según la parte reclamante, el denunciante debe tener derecho a oponerse al acceso central y puede exigir que el informe sea procesado exclusivamente por la filial, no siendo posible la agrupación de un mismo canal de denuncias para filiales con más de 249 empleados, tal y como dicta la Ley 2/2023. La parte reclamante expone que el propio canal (…). La parte reclamante esgrime no querer ceder sus datos, (…). La parte reclamante comunica que el principal motivo de querer saber quién forma la (…). La parte reclamante reclama porque SERVISA ha trasladado una denuncia interna a ***EMPRESA.1, sin su consentimiento, y que si no autoriza la cesión de sus datos a una comisión de seguimiento de la que no sabe por quién está formada, (…). Añade que la empresa no le informa de manera clara sobre los tratamientos y las finalidades para las que serán utilizados los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 En fecha 17 de octubre de 2024 tiene entrada un nuevo escrito de la parte reclamante en el que solicita ampliar la reclamación presentada en septiembre de 2024 y en el que insiste en que SERVISA no informa acerca de los miembros que componen la comisión de instrucción, entre otras cuestiones. En fecha 28 de octubre de 2024 tiene entrada un nuevo escrito de la parte reclamante mediante el que solicita ampliar la denuncia de 2 de septiembre de 2024, y en el que indica que la empresa ***EMPRESA.1 participa en la gestión del canal denuncias de SERVISA, pero que esta participación no fue informada ni consentida explícitamente al momento de presentar su denuncia, y ha supuesto una cesión de datos a terceros sin haber sido informada la parte reclamante ni haber consentido expresamente dicha cesión. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 3 de octubre de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 31 de octubre de 2024 se recibe en esta Agencia escrito de respuesta indicando con carácter previo que la parte reclamante ha interpuesto otras denuncias en instancias administrativas y judiciales que tienen origen (…); que la parte reclamante trata de causarle perjuicios en medios de comunicación así como a través de sus reclamaciones ante la Agencia Española de Protección de Datos; (…) que la parte reclamante es conocedora de las comunicaciones a ***EMPRESA.1 y de la legitimidad de las mismas, y que así viene informado tanto en la política de privacidad del canal de denuncias de SERVISA, como en la política de privacidad de los empleados, no suponiendo esta actuación una infracción a la normativa de protección de datos. SERVISA manifiesta que dispone de un canal interno de denuncias que cuenta con un acceso público a través de la página web de la compañía y desde el portal del empleado, así como un reglamento y una política de privacidad. SERVISA añade que en esta política de privacidad se incluye que “SERVISA podrá comunicar sus datos personales a las siguientes entidades: otras entidades del grupo ***EMPRESA.1 cuya intervención sea necesaria para la gestión de la denuncia”. SERVISA manifiesta que el personal de los servicios centrales de ***EMPRESA.1 interviene en la gestión de las denuncias amparado en la existencia de un contrato de encargo del tratamiento con SERVISA, aportando documentación que acreditaría los acuerdos entre las dos empresas acerca de los servicios prestados y que justificarían los hechos ocurridos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 SERVISA insiste en que sus empleados conocen que se pueden producir comunicaciones entre SERVISA y ***EMPRESA.1, y que también viene recogido en la política de privacidad, que aporta como documento anexo a su escrito de contestación al traslado. TERCERO: Con fecha 21 de noviembre de 2024 de conformidad con el artículo 65 de la LOPDGDD, se inadmitió a trámite la reclamación presentada. CUARTO: Con fecha 24 de noviembre de 2024 tiene entrada en esta Agencia recurso de reposición presentado por la parte reclamante, en el que ponía de manifiesto que en la inadmisión a trámite no se hacía referencia a cuestiones que venían recogidas en su reclamación: - falta de información adecuada y efectiva: cuando supuestamente se notificaron las políticas de privacidad por parte de SERVISA la parte reclamante no se encontraba en servicio activo, con lo que no podía tener acceso a dicha información. Al incorporarse tenía un gran volumen de correos electrónicos y la empresa no le facilitó dicha información de manera verbal, con lo cual no pudo identificarlas entre tantos mensajes. En un periodo en el que estuvo de baja médica tampoco tenía acceso al portal del empleado, por lo que difícilmente podía acceder a las mencionadas políticas de privacidad. - obligación de utilizar el canal denuncias: la parte reclamante manifiesta que, durante un periodo de tiempo en el que no se encontraba en servicio activo, le informaron que la única vía para (…) era por el canal denuncias, siendo esto falso en la medida en que existe un (…) que no se le facilitó. Además, insiste en que no se le proporcionó el protocolo del canal denuncias antes de enviar su denuncia ni de que sus datos serían compartidos con ***EMPRESA.1. - cesión de datos sin el consentimiento informado: al enviar la denuncia al canal de denuncias cuando no se encontraba en servicio activo no fue informada de que esta acción implicaba la cesión de sus datos a ***EMPRESA.1. El artículo 6 del RGPD exige que el consentimiento para el tratamiento de los datos sea informado, específico y explícito, y en su caso, no se cumplió, puesto que la primera respuesta provenía de ***EMPRESA.1, sin su conocimiento ni consentimiento. - falta de proporcionalidad y expectativas razonables: SERVISA ha manifestado que la cesión de datos a ***EMPRESA.1 forma parte de las expectativas razonales, pero insiste en que esta afirmación es errónea puesto que nunca se le informó de que su denuncia sería gestionada por la empresa matriz, vulnerando esta actuación los principios de transparencia y licitud del tratamiento. - coacción para obtener el consentimiento y cierre unilateral del expediente: la empresa condicionó el avance de su denuncia a que proporcionara más información, y ante su negativa por la falta de transparencia cerraron el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 QUINTO: En fecha 20 de febrero de 2025 se envía comunicación a SERVISA dándole audiencia en el recurso de reposición presentado por la parte reclamante. SEXTO: En fecha 28 de febrero de 2025 tiene entrada escrito de SERVISA contestando a la audiencia enviada. SÉPTIMO: En fecha 24 de marzo de 2025 se resuelve el recurso de reposición presentado por la parte reclamante estimándolo, basándose en que la parte reclamada podría haber compartido la denuncia de la parte recurrente sin garantizar la seguridad de sus datos de carácter personal. OCTAVO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En relación con la manifestación de la parte reclamante en la que considera que SERVISA no le informó de manera clara sobre los tratamientos de los datos personales aportados en (…), SERVISA indica que habría remitido esa información a todos los trabajadores por correo electrónico cuando la parte reclamante no se encontraba en activo. Asimismo, SERVISA indica que esta información le fue enviada a la parte reclamante cuando no se encontraba en servicio activo en las contestaciones a sus peticiones, y que le fueron enviadas a su correo electrónico personal. SERVISA aporta un contrato de servicios con su empresa matriz, en el que figura la prestación de servicio de Soporte en la gestión del canal informático de denuncias. De este modo, SERVISA indica que la razón por la cual la parte reclamante recibió el correo de ***EMPRESA.1 relacionado con la instrucción del expediente se habría producido por la existencia de un contrato de colaboración de carácter intergrupal que comprende el de encargado de tratamiento para ciertos servicios que presta ***EMPRESA.1 a SERVISA, entre las que se encuentra la gestión del canal de denuncias. Asimismo, en el reglamento del (…) se remite al documento relativo a “información adicional sobre protección de datos, y al acceder al mismo se informa ante la pregunta de “¿A QUÉ DESTINATARIOS SE COMUNICARÁN SUS DATOS PERSONALES? SERVISA podrá comunicar sus datos personales a las siguientes entidades: ‐ Otras entidades del Grupo ***EMPRESA.1 cuya intervención sea necesaria para la gestión de la denuncia, ‐ Jueces, Tribunales y organismos competentes, cuando resulte necesario para la adopción de las medidas pertinentes o la tramitación de los procedimientos administrativos o judiciales que, en su caso, procedan. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 Adicionalmente le informamos de que sus datos podrán ser comunicados a Encargados del Tratamiento tales como proveedores tecnológicos y de otros servicios auxiliares. Las comunicaciones de datos anteriormente identificadas pueden suponer su transferencia internacional (…) Para recibir más información sobre las transferencias internacionales o las garantías que las amparan, puede ponerse en contacto con el Departamento de Protección de Datos a través de la ***EMAIL.1.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " IV Conclusión En el presente caso, se presentó una reclamación en la que se ponía de manifiesto que se habían comunicado los datos personales de la parte reclamante a una entidad del grupo al que pertenece la empresa en la que prestaba sus servicios, SERVISA, sin su consentimiento, y que tampoco se le habría informado de que se iba a realizar dicha comunicación. Sin embargo, de las actuaciones practicadas por esta Agencia se ha tenido conocimiento de que la comunicación a la que hace referencia la parte reclamante se encuentra amparada por lo dispuesto en el artículo 33 de la LOPDGDD referido al “encargado del tratamiento” y según el cual: “1. El acceso por parte de un encargado de tratamiento a los datos personales que resulten necesarios para la prestación de un servicio al responsable no se considerará comunicación de datos siempre que se cumpla lo establecido en el Reglamento (UE) 2016/679, en la presente ley orgánica y en sus normas de desarrollo.” Por tanto, de las actuaciones realizadas por esta Agencia, no ha sido posible determinar la existencia de indicios suficientes de infracción en el ámbito competencial de la AEPD. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. El Tribunal Constitucional en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 53.2 de la LPACAP, establece que, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 “
10. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Como ha precisado el Tribunal Supremo en Sentencia de 26 de octubre de 1998, la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Así las cosas, se debe distinguir la verdadera prueba de indicios de las meras sospechas o conjeturas. El Tribunal Constitucional ha manifestado en su Sentencia 24/1997 que “los criterios para distinguir entre pruebas indiciarias capaces de desvirtuar la presunción de inocencia y las simples sospechas se apoyan en que:
11. a)La prueba indiciaria ha de partir de hechos plenamente probados.
12. b)Los hechos constitutivos de delito deben deducirse de esos indicios (hechos completamente probados) a través de un proceso mental razonado y acorde con las reglas del criterio humano, explicitado en la sentencia condenatoria (SSTC 174/1985, 175/1985, 229/1988, 107/1989, 384/1993 y 206/1994, entre otras).” En definitiva, el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. Estrechamente vinculado al principio de presunción de inocencia, se encuentra el principio in dubio pro reo, del que la Sentencia del Tribunal Constitucional de 20/02/1989 indica que “Nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” De acuerdo con este principio, aplicable también al ámbito del derecho administrativo sancionador, la carga de la prueba recae en la administración, señalándose que, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 caso de duda sobre los hechos o la responsabilidad del investigado/imputado debe realizarse la interpretación más favorable al presunto infractor. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a SERVICIOS ESPECIALES, S.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es